21. oktobra 2026 je ekipa PHP izdala nujne varnostne popravke. Odpravljajo dve kritični ranljivosti, ki sta dobili skupni vzdevek PHP2Shell in napadalcem omogočata izvajanje lastne kode na strežniku brez predhodne prijave. Ocena resnosti je 9,2 od 10. Ker gre za napaki v samem PHP-ju, so lahko prizadete praktično vse spletne strani, ki uporabljajo to tehnologijo. To vključuje tudi WordPress in WooCommerce strani, ne glede na to, katere teme ali vtičnike uporabljajo.
Pri WPM smo situacijo spremljali že od prvih objav in takoj začeli ukrepati. V nadaljevanju pojasnjujemo, kaj se je zgodilo, kaj to pomeni za vas in kaj v zvezi s tem počnemo.
Kaj se je pravzaprav zgodilo
PHP je programski jezik, v katerem je napisan WordPress. Poenostavljeno povedano je to motor, ki v ozadju poganja vašo spletno stran in ob vsakem obisku sestavi vsebino, ki jo vidi uporabnik. Napaka je v tem motorju, natančneje v delu, ki skrbi za obdelavo dohodnih zahtevkov. V določenih okoliščinah lahko PHP podatke iz zahtevka obravnava napačno, napadalec pa lahko to izkoristi tako, da na strežniku izvede svojo kodo. Ključno je, da se to zgodi, še preden se zažene vaša spletna stran. Napadalec ne potrebuje uporabniškega imena, gesla ali kakršnega koli drugega dostopa. Dovolj je lahko že en sam zahtevek, poslan na vaš spletni naslov.
Ranljivosti sta zavedeni pod oznakama CVE-2026-109618 in CVE-2026-109619, popravki pa so na voljo v različicah PHP 8.5.12, 8.4.27, 8.3.36 in 8.2.35.
Zakaj posodobitev WordPressa tukaj ne pomaga
To je najpomembnejši del, ki ga je vredno razumeti. Ko običajno govorimo o varnosti spletnih strani, govorimo o posodobitvah WordPressa, tem in vtičnikov. Tokrat je drugače. Napaka ni v WordPressu, ampak v tehnologiji, na kateri WordPress deluje. To pomeni, da vaša stran ni nujno zaščitena, tudi če:
- imate popolnoma posodobljen WordPress
- imate posodobljene vse teme in vtičnike
- uporabljate varnostni vtičnik
- ste spletno stran izdelali šele pred kratkim
Edina prava rešitev je posodobitev PHP-ja na strežniku, kjer vaša stran gostuje. Tega ne morete urediti neposredno v WordPressovi nadzorni plošči, zato je pomembno, da nekdo aktivno skrbi tudi za strežniški del.
Kako ravnamo pri WPM
Za spletne strani, ki jih imamo v vzdrževanju, je to naša naloga, ne naloga naših strank. Takoj ko so se pojavile prve informacije, smo pregledali celoten portfelj spletnih strani, ki jih upravljamo, ter preverili, katere različice PHP-ja uporabljajo in kje gostujejo. Pri ponudnikih gostovanja, s katerimi sodelujemo, smo preverili stanje varnostnih popravkov in izvedene zaščitne ukrepe, kjer je bilo potrebno, pa smo posodobitve izvedli sami.
Prav ob takšnih dogodkih se pokaže, kako pomembna je izbira zanesljivega ponudnika gostovanja. Med ponudniki, pri katerih gostujejo spletne strani naših strank, so Pressable, Kinsta, Cloudways, AWS, Hetzner, NEOSERV, Hitrost.com in Domenca. Pri preverjanju smo potrdili, da so za spletne strani, ki jih upravljamo, zagotovljeni ustrezni varnostni ukrepi.
Pri Pressable so zaščito samodejno zagotovili za vse različice PHP-ja, tako v produkcijskih kot testnih okoljih, brez kakršnega koli posega z naše strani ali strani naših strank. Tudi slovenski ponudniki gostovanja so se hitro odzvali. NEOSERV je potrdil namestitev varnostnih popravkov in dodatno zaščito strežnikov, Hitrost.com je ustrezne varnostne popravke namestil na strežnike CloudLinux 8 in 9, Domenca pa je prav tako potrdila izvedbo potrebnih zaščitnih ukrepov. Pri preostalih ponudnikih in strežniških okoljih smo stanje preverili individualno.
Pomembno je tudi vedeti, da starejša različica PHP-ja, prikazana v WordPressovi nadzorni plošči, ne pomeni nujno, da spletna stran ni zaščitena. Nekateri ponudniki uporabljajo tako imenovano povratno nameščanje varnostnih popravkov (backporting), pri katerem popravke vključijo v obstoječe različice PHP-ja, ne da bi spremenili njihovo številko.
Našim strankam ni bilo treba storiti ničesar. Pravzaprav jim sploh ni bilo treba vedeti, da se je kaj zgodilo. Prav v tem je bistvo vzdrževanja. Ko se pojavi ranljivost takšnega obsega, je lahko razlika med spletno stranjo, ki je ustrezno zaščitena v nekaj urah, in stranjo, pri kateri se nekdo težave loti šele čez dva tedna, odločilna.
Varnost pri nas ni nekaj, s čimer se začnemo ukvarjati šele ob takšnih dogodkih. Je del našega rednega procesa, od spremljanja ranljivosti in izvajanja posodobitev do nadzora nad tehnično infrastrukturo, na kateri delujejo spletne strani, za katere skrbimo.
Kaj naj naredite, če za stran skrbite sami
Če vaše spletne strani ne vzdržuje agencija, priporočamo naslednje korake:
- Preverite, katero različico PHP-ja uporablja vaša stran. Podatek najdete v WordPressovi nadzorni plošči pod Orodja → Zdravje spletnega mesta, na zavihku Informacije, ali pa pri svojem ponudniku gostovanja.
- Pri ponudniku gostovanja preverite, ali je varnostni popravek že nameščen. Nekateri večji ponudniki so posodobitve izvedli samodejno, pri drugih pa morate postopek sprožiti sami.
- Če uporabljate PHP 8.1 ali starejšo različico, je nadgradnja nujna. Te različice niso več uradno podprte.
Različica PHP 8.2 bo podporo izgubila 31. decembra 2026, zato je smiselno razmisliti o prehodu na različico 8.3 ali novejšo. O tem, zakaj se nadgradnja PHP-ja izplača tudi z vidika hitrosti delovanja spletnih strani, smo pisali že prej.
Kaj storiti, če posodobitev danes ni mogoča
Včasih posodobitve ni mogoče izvesti takoj, na primer zato, ker starejša programska koda ali kateri od vtičnikov ni združljiv z novejšo različico PHP-ja. V takem primeru obstaja nekaj začasnih ukrepov, s katerimi lahko zmanjšate tveganje:
- uporaba požarnega zidu za spletne aplikacije (WAF), saj so nekateri ponudniki že pripravili pravila za zaščito pred tovrstnimi napadi
- onemogočanje nalaganja datotek na straneh, kjer uporabniki te možnosti ne potrebujejo
- spremljanje strežniških dnevnikov, pri čemer je treba biti pozoren na nenavadne zahtevke, napake, povezane s pomnilnikom, in nenadne poraste števila napak 500
To so začasni ukrepi, ne trajna rešitev. Nobeden od njih ne more nadomestiti posodobitve PHP-ja. Če se znajdete v takšnem položaju, je to tudi dober pokazatelj, da je čas za temeljitejši pregled tehnične osnove vaše spletne strani.
Nekaj, kar je vredno povedati na glas
Takšne ranljivosti so dober opomnik, da spletna stran ni projekt, ki se konča z objavo. Tehnologija, na kateri temelji, se nenehno spreminja, ranljivosti pa se pojavljajo tudi tam, kjer jih najmanj pričakujemo. Prav zato vzdrževanje pri nas pomeni veliko več kot zgolj klikanje na gumb za posodobitev. Pomeni, da nekdo spremlja dogajanje v tehnološkem ekosistemu, ve, katere spletne strani je treba preveriti, in ukrepa, še preden se stranka sploh vpraša, ali je njena stran ogrožena.
Pogled naprej
Če niste prepričani, katero različico PHP-ja uporablja vaša spletna stran oziroma ali so varnostni popravki že nameščeni, nam pišite. Preverili bomo stanje vaše spletne strani in vam iskreno povedali, ali so potrebni dodatni ukrepi.
Če ste v dvomih, je bolje preveriti danes kot čez en teden.
